Отзыв сертификатов в nebula-mesh не применяется на уровне mesh: CVE-2026-61699

В системах класса Zero Trust безопасность строится не на доверии к сети, а на строгой аутентификации и оперативной реакции на компрометацию устройств. Однако обнаруженная уязвимость в forgekeep nebula-mesh демонстрирует, как сбой в реализации ключевого механизма отзыва может свести на нет все усилия по изоляции взломанных узлов.

Подробности

Проблема идентифицирована как CVE-2026-61699 и затрагивает nebula-mesh — самописный control plane для Slack Nebula mesh VPN. Уязвимость получила оценку 8.1 по шкале CVSS (HIGH). Технически, она заключается в том, что механизм отзыва сертификатов (revocation) является единственным in-band способом изолировать скомпрометированный или выведенный из эксплуатации хост. Однако из-за ошибки в логике, список блокировки (blocklist) никогда не достигает файла config.yml ни одного пира в сети. Практическое следствие: хост, помеченный как Blocked, сохраняет полную связность с каждым узлом, находящимся под его CA, а также доступ к внутренним сервисам. Временное окно для злоумышленника составляет до 30 дней для агента (agent) и до 365 дней для мобильных устройств (mobile). Атакующий, получивший файлы host.key и host.crt, может запустить стандартный клиент slackhq/nebula напрямую (минуя управление агента), игнорировать ответы опроса 403/410 и оставаться в сети даже после того, как оператор выполнит процедуру отзыва. Особую опасность представляет тот факт, что интерфейс оператора (UI) показывает статус "заблокирован", а журналы аудита фиксируют событие, что создает ложное ощущение безопасности. Система считается скомпрометированной, но фактически не выполняет изоляцию.

Что делать

Разработчики уже выпустили исправление в версии 0.7.1. Всем организациям, использующим nebula-mesh, рекомендуется: 1. Немедленно обновить все компоненты control plane до версии 0.7.1 или новее. 2. После развертывания обновления, провести ревизию текущего состояния сети: пересоздать сертификаты для всех узлов, которые ранее были отозваны, но могли оставаться подключенными. 3. Проверить журналы доступа на предмет аномалий за последние 30-365 дней, так как злоумышленники могли использовать этот канал доступа. 4. В качестве временной митигации (если обновление откладывается) рассмотреть полную замену CA и перевыпуск всех ключей, чтобы гарантированно "сбросить" связи. Итог: данная уязвимость подрывает доверие к механизмам автоматической реакции на инциденты. Даже при корректной настройке политик безопасности, неспособность enforce отзыва на уровне сети оставляет бэкдор для скомпрометированных устройств.

Источник: CVE Project (cvelistV5)